Trane Technologies automatise la sécurité des identités à grande échelle

Forte d’un héritage industriel qui remonte au siècle dernier, Trane Technologies dispose d’une expertise reconnue en matière de fabrication. Anciennement Ingersoll Rand, l’entreprise est aujourd’hui centrée sur les systèmes de chauffage, de ventilation, de climatisation et de réfrigération. En 2022, son chiffre d’affaires a dépassé 15 milliards de dollars et ses activités s’étendent à l’échelle mondiale, avec des sièges en Irlande, en Belgique, à Shanghai et en Caroline du Nord.

Les produits Trane couvrent des usages résidentiels, commerciaux et industriels, avec une offre comprenant des systèmes de climatisation, des pompes à chaleur, des groupes frigorifiques, des systèmes de contrôle et de gestion technique du bâtiment, des unités de réfrigération pour le transport, ainsi que des services. L’entreprise s’est engagée fortement en faveur du développement durable, à la fois dans ses propres opérations et en accompagnant ses clients dans la réduction de leur consommation d’énergie et de leurs émissions de gaz à effet de serre.

Parmi les initiatives internes mises en place pour soutenir ses objectifs de durabilité, Trane a acté, au niveau corporate, la transition vers une infrastructure informatique basée sur le cloud. Il a été établi que l’entreprise devait gagner en agilité et, pour y parvenir, disposer de la capacité à fournir des solutions d’accès sécurisé à un large éventail de clients, de collaborateurs et d’autres partenaires. Les partenaires de l’entreprise ont besoin d’accéder à des outils et ressources stratégiques afin de servir les clients, gérer les équipements et commander de nouveaux produits et services.

Compte tenu de la rapidité d’évolution de l’environnement économique actuel, Trane avait également identifié la nécessité d’une solution permettant aux collaborateurs, partenaires et clients d’accéder aux bonnes ressources dès le premier jour, puis tout au long de leur relation avec l’entreprise. Cette approche devait en outre limiter le recours à un support manuel important et continu, qu’il s’agisse d’attribuer, de modifier ou de révoquer les accès.

« Nous avions besoin d’une solution de gouvernance et d’administration des identités (IGA) capable de nous permettre d’adopter les nouvelles technologies au même rythme que nos clients, et de fournir l’infrastructure nécessaire pour monter en charge sans difficulté, à mesure que la demande augmente dans le temps », déclare Prince Jones, Senior Identity Leader, Trane Technologies.

Un défi croissant en matière de gestion des identités et de gestion des accès

Pendant des années, Trane a géré manuellement l’ensemble de ses besoins en gestion des accès et en gestion des identités. L’entreprise disposait d’une équipe support conséquente de 18 personnes, chargée de traiter les tickets d’assistance liés à la gestion des identités et au contrôle des accès. Si l’approche fonctionnait, elle n’était ni pérenne, ni évolutive, ni rentable. À mesure que Trane poursuivait sa croissance, intégrait de nouveaux utilisateurs et ajoutait des fonctionnalités, la solution en place devenait trop coûteuse et trop lente pour suivre les objectifs business de Trane.

Trane avait donc besoin d’une solution IGA capable de monter en charge, de déployer de nouvelles fonctionnalités et de prendre en charge de nouvelles intégrations, simplement et rapidement. Il lui fallait aussi un moyen d’accorder aux utilisateurs les droits appropriés dès leur première connexion, conformément aux principes du moindre privilège et du besoin d’en connaître.

Trane recherchait également une solution IGA permettant de prendre ces décisions d’accès rapidement et avec précision, tout en offrant des capacités de supervision et de reporting robustes afin de suivre l’efficacité de la solution.

« Compte tenu de notre ambition affirmée de rester le leader mondial des solutions climatiques durables, il était clair que nos processus back-end devaient évoluer au rythme de notre activité. C’était une condition pour rester compétitifs, innovants et continuer à montrer la voie », déclare Jones.

Automatisation de bout en bout avec IdentityNow

À l’issue d’une analyse approfondie, Trane a conclu que l’approche la plus pertinente en matière d’IGA consistait à adopter une stratégie cloud-first, alignée sur ses exigences. L’entreprise a recherché un partenaire en mesure de proposer une expérience IGA cloud de niveau mondial, comparable aux solutions on-premises déjà en place. Elle souhaitait également s’appuyer sur un partenaire partageant ses valeurs : priorité au client, relation de confiance et culture de l’innovation.

Après avoir évalué plusieurs options — et même suivi des earnings calls pour mieux comprendre les feuilles de route produits et les fonctionnalités à venir — Trane a confirmé que l’approche de SailPoint correspondait à ses attentes.

« Dès le départ, nous avons identifié le principal différenciateur de SailPoint : fournir une solution IGA cloud, fondée sur les principes du best of breed, et orchestrée de manière à ce que ces briques fonctionnent ensemble sans friction », explique Jones. « Nous savions que nous avions choisi un partenaire en phase avec une grande partie des résultats que nous cherchions à atteindre avec nos solutions. »

Trane a déployé SailPoint IdentityNow ainsi que SailPoint SaaS Workflows. Un partenaire, Focal Point Data Risk (désormais intégré à CDW), a été sollicité afin d’accompagner la configuration et la mise en production de la solution. Depuis, les extensions ultérieures du déploiement sont prises en charge en interne par Trane.

Trane a commencé par l’automatisation complète de la gestion de Microsoft Active Directory, de la création des comptes jusqu’aux mises à jour et à la maintenance continue. Aujourd’hui, SailPoint administre la majorité des objets Active Directory de Trane (utilisateurs, comptes de service, etc.), en s’appuyant sur ServiceNow comme moteur d’approbation et point d’entrée.

« Nous n’intervenons plus du tout sur Active Directory », explique Jones. « C’est très appréciable. Nous ne faisons plus rien sur l’ensemble de ces comptes : ils sont pilotés soit par PeopleSoft, soit par ServiceNow. Tout a été automatisé avec SailPoint IdentityNow. »

Avant de pouvoir provisionner depuis le cloud, plus de 100 000 tickets de support par an étaient traités manuellement chez Trane par une équipe de support de 18 personnes. Désormais, IdentityNow traite automatiquement plus de 40 000 de ces tickets auparavant gérés à la main. « SailPoint nous a permis de mobiliser nos ressources qualifiées sur des activités bien plus impactantes », indique Jones.

L’entreprise travaille à l’extension de son déploiement IdentityNow : de nombreuses applications sont d’ores et déjà activées en production, et la démarche d’onboarding se poursuivra tout au long de l’année à venir.

Comme beaucoup d’organisations, Trane a déployé des services auprès de l’ensemble des principaux fournisseurs de cloud, en fonction des exigences propres à chaque application. Dans tous les cas, son implémentation SailPoint intervient dans la gouvernance de chacun de ces environnements.

L’entreprise s’est également appuyée sur les larges capacités d’intégration de SailPoint. Des intégrations avec des composants d’infrastructure tels qu’Active Directory et Azure ont été déployées rapidement, grâce aux connecteurs prêts à l’emploi de SailPoint. L’intégration JDBC du produit a par ailleurs été utilisée de manière intensive afin d’étendre les capacités à d’autres systèmes. Pour les applications restantes, dépourvues de mécanismes d’intégration modernes, Jones et son équipe ont mis en place des fonctionnalités de gouvernance en autorisant l’envoi d’un fichier, quel qu’en soit le format, puis en configurant les processus IdentityNow pour le lire et l’importer.

« En tant que plateforme de gestion des identités basée sur le cloud, SailPoint IdentityNow réduit notre empreinte on-prem tout en soutenant durablement notre activité. Quand je pense à IdentityNow, c’est avant tout une question d’efficacité », a déclaré Jones.

Économiser les ressources, garantir la conformité et susciter l’adhésion

L’impact de SailPoint IdentityNow chez Trane s’est révélé particulièrement significatif. À ce jour, plus de 42 000 comptes ont été créés automatiquement par SailPoint, avec une moyenne de plus de 400 nouveaux comptes Active Directory par semaine. Le niveau d’automatisation est tel que le délai moyen nécessaire, après validation, pour exécuter automatiquement une demande d’accès ou de création de compte est désormais de 30 secondes.

« Sans SailPoint IdentityNow, il serait difficile de recruter ou de désactiver des utilisateurs, voire même d’accorder ou de retirer des accès aux systèmes clés », explique Jones. « IdentityNow a été étroitement intégré à ServiceNow ; les deux solutions fonctionnent de concert pour fournir à notre organisation des services essentiels. »

Jones et son équipe ont également adopté une approche proactive des indicateurs et du reporting. Une démarche IAM pilotée par les KPI est mise en œuvre à l’aide de l’ISO 27001 Identity Wheel : la performance et l’efficacité sont mesurées sur plusieurs axes, notamment la qualité des données, l’hygiène, ainsi que des KPI métiers propres à la gestion des identités. Les KPI sont générés par Splunk plusieurs fois par jour, ce qui leur permet d’anticiper et de traiter tout problème potentiel.

Un bénéfice majeur de cette mise en œuvre réside dans son impact sur la conformité. « Le respect de nos obligations de conformité est devenu nettement plus simple : lors du départ d’un utilisateur, les accès peuvent être désactivés en quasi temps réel, et un reporting permet de confirmer que l’action a bien abouti », précise Jones. « Nous savons désormais que nos contrôles clés sont appliqués de manière cohérente et, en cas d’incident, nous pouvons le qualifier, le prioriser et le corriger rapidement. »

« Notre priorité est de créer une expérience client exemplaire, et SailPoint nous y aide », indique Jones. « Concrètement, nos clients gagnent en efficacité et nous ne constituons plus un point de blocage pour l’innovation et la progression. »

Un avenir riche en opportunités

Trane constate également des gains significatifs grâce à l’utilisation de SailPoint SaaS Workflows. À ce jour, l’entreprise a mis en place dix workflows automatisés, et d’autres sont en cours de développement. Parmi les cas d’usage, figurent l’automatisation de la conversion d’un prestataire en salarié, ou encore la suppression de l’accès invité au système lorsque le sponsor quitte l’entreprise. À ce stade, ces workflows ont été déclenchés et ont mené à terme un processus plus de 120000 fois.

« Les Workflows changent la donne pour nous, car ils nous permettent de déployer une orchestration des identités extensible, avec une logique intelligente, de manière prise en charge. Et comme une grande partie des fonctionnalités est disponible prête à l’emploi, nous pouvons innover plus vite, avec moins de scripts », explique Jones.

Au-delà du déploiement de workflows automatisés supplémentaires, Trane prévoit de mettre en œuvre, à l’avenir, les fonctionnalités Separations of Duties (SOD) et Certification de SailPoint.

Désormais, avec de nombreuses applications intégrées, Trane souhaite mener des travaux de role mining afin d’évaluer la répartition des accès. En s’appuyant sur une sécurité des identités pilotée par l’IA, l’entreprise ambitionne d’automatiser davantage la gestion des identités et les demandes de contrôle des accès, et même de les anticiper.

« Nous voulons mettre en place un programme fondé sur l’IA et les Analytics, capable, potentiellement, d’affecter automatiquement les personnes à des rôles, afin qu’elles n’aient même plus à en faire la demande. L’accès serait simplement déjà disponible », précise Jones.